クリプトン・フューチャー・メディアのSONICWIRE（ソニックワイヤ）とD2Rへ不正アクセスによるサイバー攻撃、最大約42万件の個人情報漏洩の恐れ

クリプトン・フューチャー・メディア株式会社は2026年10月19日、同社が運営する音楽制作関連サービス「SONICWIRE（ソニックワイヤ）」および「D2R」が第三者による不正アクセスを受け、会員情報などが閲覧・取得された可能性があると公表しました。SONICWIREの対象情報はニュースレター購読者を含め最大約42万件で、氏名やメールアドレス、ハッシュ化されたパスワードなどが含まれます。

同社は10月17日夜から対象サービスを停止しており、D2Rを利用した製品の販売・認証手続きにも影響が生じています。音響機器・音楽制作関連商品の販売を手がけるサウンドハウスも、一部ダウンロード商品の新規注文を休止しました。

クリプトン「SONICWIRE」「D2R」不正アクセスのサマリー

• 2026年10月17日20時ごろ、SONICWIREおよびD2Rへの不正アクセスの可能性を確認。10月19日に公式発表しました。
• 10月17日23時39分ごろ、被害拡大防止のため両サービスのサーバー停止を完了しました。
• SONICWIRE会員・ニュースレター購読者の情報は、最大約42万件が閲覧・取得された可能性があります。
• 対象となり得る情報は氏名、メールアドレス、ハッシュ化されたパスワード、該当者の住所、登録日や最終ログイン日などです。
• D2R登録店舗では氏名、店舗名、ログインID、ハッシュ化されたパスワードが影響対象となる可能性があります。
• SONICWIRE・D2Rのシステムにはクレジットカード情報を保存しておらず、同情報の漏えいは確認されていません。
• 全会員のパスワードを無効化し、サービス復旧後の初回ログイン時に再設定するよう案内しています。
• 関連ECストアも調査のため停止。サウンドハウスではD2Rを使用する一部商品の販売と未完了のアクティベーションに影響しています。
• 10月19日時点で再開時期は未定です。侵入経路や実際に外部取得された情報の範囲について調査が続いています。

10月17日に不正アクセスを検知、同日夜にサーバーを停止

クリプトンによると、10月17日20時ごろにSONICWIREとD2Rへの不正アクセスの可能性を把握しました。同社は侵害されたアカウントの無効化、社内ドメインへのIPアドレス制限などを実施した後、同日23時39分ごろまでに該当サービスのサーバー停止を完了しました。

その後も原因と影響範囲を調査しています。同社の発表では、10月19日時点で緊急対応後の新たな不正アクセスは確認されていません。SONICWIRE関連ECストア（ec.crypton.co.jp）も調査の一環として停止しています。

SONICWIREの最大約42万件が対象、ハッシュ化されたパスワードや住所も

SONICWIREでは、会員およびニュースレター購読者の最大約42万件について、第三者に情報を閲覧・取得された可能性があります。対象となる情報は次のとおりです。

最大約42万件は、漏えいの可能性があるSONICWIREの情報規模です。第三者が実際に取得した件数、重複を除いた人数、D2R側の対象店舗数を示すものではありません。クリプトンは調査を継続しています。

対象のパスワードは平文ではなくハッシュ値で管理されていました。ただし、ハッシュ化されていることだけで元のパスワードの復元可能性がゼロになるわけではありません。方式やパスワードの強度などによりリスクは変わるため、同社は使い回しのある他サービスのパスワード変更を呼びかけています。

クレジットカード情報については、SONICWIREとD2Rのシステム自体には保存しておらず、現時点で漏えいは確認されていないと説明しています。過去の決済情報などへの影響は引き続き調査対象です。

サウンドハウスでも一部ダウンロード商品の販売を休止

不正アクセスの影響は、クリプトンのサービスを利用する販売事業者にも及んでいます。

サウンドハウスは10月19日、D2Rを通じて製品のシリアルナンバーを取得するダウンロード納品商品の一部について、新規注文の受付を停止したと発表しました。対象商品は商品ページに「販売停止中」と表示され、D2Rでのアクティベーションが必要な商品も含まれます。

購入済みの商品であっても、D2Rを使うアクティベーションが未完了の場合は、停止期間中に手続きを進められません。一方、アクティベーション済みの製品については、取得済みのシリアルナンバーを引き続き利用できます。D2Rのマイページにはアクセスできないため、シリアルナンバーを確認する必要がある場合は、SONICWIRE登録メールアドレス宛ての受信済みメールを参照するよう案内しています。

サウンドハウスは、本件に関連した自社への不正アクセスは確認されていないとしています。今回確認されたのは、外部サービスの停止に伴う販売・ライセンス認証業務への影響です。

利用者が確認したい二次被害のリスクと対策

パスワードの使い回しによる別サービスへの不正ログイン

クリプトンは全会員のパスワードを無効化しました。SONICWIRE・D2Rのサービスが復旧した後は、公式案内に沿って新しいパスワードを設定する必要があります。

同じメールアドレスとパスワードを他のサービスでも使っている場合、そちらは復旧を待たずに変更することが推奨されます。特にメールアカウント、クラウドストレージ、通販サイト、金融関連サービスなどの使い回しを点検し、提供されている場合は多要素認証を有効にします。

これは、仮にハッシュ値からパスワードが推測・復元されれば、別のサービスへの不正アクセスに悪用される可能性があるためです。今回の侵入がパスワードリスト攻撃で発生したと判明したわけではありません。

個人情報を利用したフィッシングと請求偽装

氏名やメールアドレス、住所、利用サービス名などが組み合わされると、本人宛ての自然な文面を作りやすくなります。SONICWIREの復旧案内、パスワード再設定、製品ライセンスの確認、未払い請求などを装う不審な連絡には注意が必要です。

クリプトンも公式発表で、自社や関係先を装ったメール・SMS等のリンク、添付ファイルを開かず、認証情報を入力しないよう案内しています。復旧情報や連絡先を確かめる際は、受信したメッセージ内のリンクではなく、公式サイトを直接確認してください。

企業の情報システム部門・販売事業者が確認したい事項

今回の事案では、個人情報の漏えいの可能性だけでなく、第三者サービスに依存するソフトウェア販売・ライセンス発行の停止が確認されました。

音楽制作ソフトウェアの利用事業者や販売事業者では、D2Rに依存する製品の新規導入・ライセンス認証が必要な案件を洗い出し、納品期限、制作スケジュール、顧客への案内への影響を確認することが考えられます。すでにアクティベーションが済んでいる製品と、これから認証が必要な製品を分けて管理すると、対応対象を明確にできます。

また、会員基盤を持つ企業では、認証情報の窃取・悪用を想定したアカウント停止、セッション失効、利用者への通知、関連システムの隔離と復旧手順を事前に定めておく必要があります。企業の情報漏えい対策と初動対応でも、認証管理と外部サービスを含む影響範囲の確認が実務上の論点になります。

クリプトンは外部専門機関への調査依頼を含めて確認を進めるとしています。利用者は、公式発表で更新される原因・影響範囲・復旧日時を確認してください。

出典

• 不正アクセスによるお客様情報漏えいの可能性に関するお知らせ（2026年10月19日）―クリプトン・フューチャー・メディア
• 【重要】SONICWIRE・D2Rへの不正アクセスに伴う一部商品の販売休止について（2026年10月19日）―サウンドハウス